O SonicWallu pisaliśmy wielokrotnie. Niestety nie były to peany na jego cześć. Okazuje się, że do niepochlebnych postów możemy dołączyć kolejny, bowiem dwie niedawno załatane podatności typu zero-day w urządzeniach SonicWall były wykorzystywane przez cyberprzestępców przez kilka tygodni, zanim producent udostępnił poprawki. Poinformowała o tym Volexity – firma zajmująca się cyberbezpieczeństwem.

Autor: 3 min czytania

14 lipca SonicWall opublikował oficjalny komunikat dotyczący podatności, informując klientów, że luki CVE-2026-15409 oraz CVE-2026-15410 były aktywnie wykorzystywane w rzeczywistych atakach.

Zdalny, nieuwierzytelniony napastnik mógł wykorzystać je do przejęcia kontroli nad urządzeniami SMA1000 Secure Remote Access. SonicWall udostępnił poprawki typu hotfix, eliminujące oba problemy bezpieczeństwa.

Volexity, która wspierała producenta w analizie incydentów, przypisała wykorzystanie podatności grupie śledzonej pod nazwą UTA0533. Według firmy pierwsze ataki mogły rozpocząć się już 22 czerwca.

W piątek Volexity opublikowała wskaźniki kompromitacji (IoC) oraz inne szczegóły techniczne dotyczące ataków. Nie udało się jednak powiązać grupy UTA0533 z żadnym znanym aktorem zagrożeń, a motywy jej działania pozostają niejasne. Na podstawie charakterystyki przedstawionej przez Volexity można przypuszczać, że operacja bardziej przypomina działania grupy APT sponsorowanej przez państwo niż cyberprzestępców nastawionych na zysk.

Po przejęciu kontroli nad atakowanymi urządzeniami SonicWall napastnicy instalowali niestandardowe złośliwe oprogramowanie o nazwie KnuckleBall, które wstrzykiwało do legalnych procesów dwa kolejne narzędzia:

  • dostosowany do potrzeb ataku webshell Java o nazwie OrangeTail,
  • opensoursowe narzędzie proxy Suo5.

Jak poinformowali specjaliści Volexity:

„Dysponując uprawnieniami roota, atakujący mogli uzyskać dostęp do zapisanych lub buforowanych poświadczeń, przechwytywać ruch sieciowy oraz potencjalnie przechwytywać dane uwierzytelniające przetwarzane przez urządzenia”.

Firma dodała również:

„Chociaż UTA0533 wykazała się znacznymi umiejętnościami w kompromitowaniu urządzeń SonicWall, dostępne dowody wskazują, że grupa miała znacznie mniejsze sukcesy w przemieszczaniu się po sieci ofiary (lateral movement) oraz uzyskiwaniu dostępu do innych systemów”.

Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała podatności CVE-2026-15409 i CVE-2026-15410 do katalogu Known Exploited Vulnerabilities (KEV), obejmującego luki aktywnie wykorzystywane przez cyberprzestępców. Obecnie katalog zawiera już 17 podatności dotyczących produktów SonicWall.